SYSTEM ZARZĄDZANIA BEZPIECZEŃSTWEM INFORMACJI- wymagania normy ISO 27001:2007 Grażyna Szydłowska

INFORMACJA NABIERA CORAZ WIĘKSZEGO ZNACZENIA W PORÓWNANIU DO POZOSTAŁYCH, MATERIALNYCH SKŁADNIKÓW MAJATKU FIRMY Information Security Management System ISMS PN ISO/IEC 27001:2007 Technika informatyczna - Techniki bezpieczeństwa - Techniki zarządzania bezpieczeństwem informacji - Wymagania PN- EN ISO/IEC 17799:2003 Praktyczne Zasady Zarządzania Bezpieczeństwem Informacji

Bezpieczeństwo wg ISO IEC 27001:2005 Zarządzamy bezpieczeństwem informacji w trzech obszarach: poufność integralność dostępność

BUDOWA NORMY ISO IEC 27001 Wprowadzenie Zakres normy Powołania Terminy i definicje System zarządzania bezpieczeństwem informacji Odpowiedzialność kierownictwa Wewnętrzne audity ISMS Przegląd zarządzania ISMS Doskonalenie ISMS Załącznik A Cele zabezpieczeń i zabezpieczenia

NORMA ISO IEC 27001:2005 Wymagania i oczekiwania bezpieczeństwo dla bezpieczeństwa informacji bezpieczeństwo informacji

P 4. System Zarządzania Bezpieczeństwem Informacji 4.2 Ustanowienie i zarządzanie ISMS 4.2.1 Ustanowienie ISMS Zgoda kierownictwa Cele i zakres Polityka SZMS Deklaracja stosowania Analiza ryzyka

P 4. System Zarządzania Bezpieczeństwem Informacji 4.2.2 Wdrożenie i funkcjonowanie ISMS Zarządzanie zasobami Obsługa zdarzeń Postępowanie z ryzykiem Uświadomienie i szkolenia

P 4. System Zarządzania Bezpieczeństwem Informacji 4.2.3 Monitorowanie i przeglądy ISMS Analiza ryzyka Monitorowanie procedury Regularne przeglądy Weryfikacja skuteczności Audyty

P 4. System Zarządzania Bezpieczeństwem Informacji 4.3 Wymagania dot. dokumentacji Opis analizy ryzyka Polityka i cele Plan postępowania z ryzykiem Objęty zakres Procedury zabezpieczenia i zapisy Deklaracja stosowania

Analizy ryzyka nie przeprowadza się tylko raz Analiza ryzyka Analizy ryzyka nie przeprowadza się tylko raz dlaczego? Wymagane jest jej okresowe ponawianie celem sprawdzenia: czy nie nastąpiły zmiany w naszej działalności czy nie nastąpiły zmiany priorytetów czy katalog zasobów jest aktualny czy katalog zagrożeń jest aktualny czy stosowane zabezpieczenia są ciągle skuteczne i efektywne

P 5. Odpowiedzialność kierownictwa 5.1 Zaangażowanie kierownictwa Ustanowienie polityki bezpieczeństwa informacji Zapewnienie, że cele i plany bezpieczeństwa informacji są ustanowione Ustalenie zadań i odpowiedzialności dla bezpieczeństwa informacji Zakomunikowanie wagi spełnienia wypełnienia celów zgodnych z polityką bezpieczeństwa informacji Zapewnienia niezbędnych zasobów Zatwierdzenie akceptowalnego poziomu ryzyka Przeprowadzenie przeglądów zarządzania

P 5. Odpowiedzialność kierownictwa 5.2 Zarządzanie zasobami 5.2.1 Dostępność zasobów. Zapewnienie zasobów do: ustanowienia, wdrożenia, funkcjonowania i doskonalenia weryfikacji czy procedury bezpieczeństwa informacji wspierają wymagania biznesowe spełnienia wymogów prawnych utrzymanie odpowiedniego poziomu bezpieczeństwa przez zastosowanie wdrożonych zabezpieczeń prowadzanie przeglądów ISMS gdy potrzeba – podnoszenia skuteczności systemu

P 5. Odpowiedzialność kierownictwa 5.2.2 Szkolenie, uświadomienie i kompetencje Określenie kompetencji Zapisy dot. kwalifikacji … Szkolenie i ich ocena

P 6. Wewnętrzne audity ISMS Niezależne przeglądy zewnętrzne Ocena spełnienia wymagań prawnych Ocena funkcjonowania ISMS Ocena spełnienia wymagań ISMS

P 7. Przeglądy ISMS Przeglądy funkcjonowania ISMB Np.: - nowe procedury - postępowanie z ryzykiem - uzupełnienie zasobów - ulepszenie w ISMB Dane wejściowe Przegląd ISMS Dane wejściowe Np.: - wyniki auditów - analiza ryzyka - nowe technologie - nowe zagrożenia

P 8. Doskonalenie ISMS Funkcjonujący ISMS Np.: zagrożenia wyniki przeglądów DZIAŁANIA ZAPOBIEGAWCZE Funkcjonujący ISMS DZIAŁANIA KORYGUJĄCE

Załącznik A do normy ISO IEC 27001 polityka bezpieczeństwa informacji Organizacja bezpieczeństwa informacji Zarządzanie aktywami Bezpieczeństwo osobowe Bezpieczeństwo fizyczne i środowiskowe Zarządzanie działalnością oraz komunikacją Kontrola dostępu Zbieranie danych, rozwój oraz utrzymanie systemu Zarządzanie incydentami bezpieczeństwa informacji Zarządzanie ciągłością działania Zgodność